家庭局域网服务对外暴露，如何确保安全

[abcfreedom]

家里有一些服务，比如 Nas 和各种虚拟机，为了方便在外面使用，我在内网搭了一个 ss ，外网通过 ss 协议连接到该服务，再进行局域网的访问。这个方案有一个风险点是，如果 ss 的密码暴露了，那么拿到密码的人就也可以访问家里局域网了。目前这套方案运行了两年多时间，可能没有出什么问题，也可能出了问题我没有察觉到。虽然局域网内的各个服务都有密码，但还是感觉不太踏实。

想咨询一下 v 友们有没有什么安全策略，比如局域网的监控服务、或者其他更好的对外暴露内网服务的方案。

[leaflxh]

自己写个 port knocker ，手动操作，ip to ip 防火墙放通

[tyhunter]

我是 IPV6 DDNS+端口转发+SS ，SS 用的大小写+字符，除非主动泄露
如果还想加强安全，可以考虑搭建一台跳板机转发 SS 请求？
设备-->跳板机转发-->本机端口转发(白名单只接受跳板机 IP)-->SS 端口
但这样速度就不如直接 DDNS 来的直接了

[yaott2020]

wireguard 回家，安全性速度兼有

[abcfreedom]

@duduke 话说开放 vmess 和开放 ss 安全性是不是一样呢

[abcfreedom]

@yanyuechuixue
@ysc3839
@deplivesb
@Jhma
@shangyu7
@sadfQED2
@blankmiss
感谢大佬们的建议，我去调研一下

[abcfreedom]

@janzwong 学到了，目前是只开放了 ss 的端口到公网，黑名单 ip 之前还没太搞过，我去查查，感谢大佬

[deplivesb]

@yaott2020 我这 wireguard 回家速度很慢，udp 的包经常被 QOS

[abcfreedom]

@monkey110 感谢，我目前用的 ikuai 的系统做主路由，对外开放了 ss 的端口~ 之前在公有云服务上用一键脚本搭建服务，也碰到过被黑的情况，确实挺坑的，当时我的服务器被拿去恶意乱发邮件，以至于被云服务商强制关了😂

[abcfreedom]

@winson030
@JayZXu
@a632079
学到了，看到好多大佬推荐 tailscale ，之前对这块没太了解，是时候补补课了

[abcfreedom]

@tyhunter
@leaflxh
@yaott2020
感谢建议~

[FrankAdler]

定期更换密码 我觉得 ss 就足够了

[baobao1270]

SS 密码用 128 位随机字符串，怎么暴露？
除非主动泄露，比如不小心分享出去二维码。否则以现在的密码学设计，除非对方使用量子计算机，或者协议实现上有 0day ，否则不会有问题
当然也可以用 ZeroTrust 的思想，所有需要上公网的都直接上公网，强制 GitHub OAuth 登录+YubiKey 验证

[azure2023us559]

docker

[azure2023us559]

ss 换 wireguard , listen on ipv6 443 udp

[abcfreedom]

@FrankAdler
@baobao1270
@azure2023us559
学到了 感谢大佬们，准备 ss 换个密码先用着，有空了折腾一下 tailscale 和 wireguard

[hezhile]

zerotier +1

[superchijinpeng]

Tailscale ，也可以用 Cloudflare Tunnel

[esee]

@Jhma 你也说了没有痕迹，那你加了动态密码就能知道黑客没来过？安全都是相对的，你给门加了几百把锁，结果门和墙连接不牢固直接把门踹开了不也一样入侵，最后防的都是自己。

[Jhma]

@esee 至少二次认证是公认的比没有二次认证的安全，各大安全厂商也力推二次认证系统，简单的说，我明明有技术可以自己动手加锁，为何不加！

[troilus]

用 vmess ，配合规则